安全红线：过了就停
最小权限、不可逆先确认、不覆盖原件、关键事实人核、密钥不进对话。红线写进派活，不写进事后补救。
红线不是产品条款，是你写进每一次派活的停点。写在事后「以后注意」，已经晚了。下面五条半年后仍成立：它们不依赖某个按钮叫什么。
读完你能回答：
- 五条红线各自拦住哪类事故？
- 为什么「先给全权限，用着方便」会把验收变成空话？
- 红线怎么写进五件事，而不是另贴一张须知？
五条就够
- 最小权限，用完收回。 默认只读。需要写、需要发、需要连外网，按这一次的活开，做完关掉。常开等于没有权限分级。
- 不可逆的事先停。 发送、付钱、删除、覆盖、合进主线，走到待你确认。Grok Bot 把敏感动作放进先审再做，依据仍是动作不可逆，不是功能名。xai-bot
- 不覆盖原件。 产物另存。原件是对照物，也是回滚点。没有原件，验收只能信它。
- 关键事实人核。 数字、对外口径、法律和钱。三个核对动作见 核实 AI 回答：查来源、找反例、复算关键数字。
- 密钥不进对话。 口令、令牌、证书走产品提供的专用入口。写进聊天记录，等于写进每一份以后还能被读到的上下文。
范围也是红线。选定一个目录或一批文件，就是这一次的世界。目录外的默认不许动。codex-quickstart
全权限会把验收架空
「先打通再收紧」听起来像效率，其实是把停点删掉。权限一旦常开，过程里就不再出现「这一步该不该做」，只剩下「已经做了」。验收变成对结果的事后解释。最小权限的代价是多点一次确认；全权限的代价是一次覆盖原件。
写进五件事的「边界」
红线不是另附须知，是 五件事 里的第四件。能写成「不要覆盖原件，产物另存到某路径」「数字必须从明细复算，对不上就停」，就不要写成「注意安全」。过线之后怎么查，见下一篇。